Trả lời ngắn
Quyền của người dùng EU theo GDPR gồm 8 quyền tại Điều 13–22, từ truy cập, xóa đến phản đối; doanh nghiệp phải trả lời yêu cầu trong một tháng.
Quyền của người dùng EU theo GDPR là 8 quyền mà data subject có với dữ liệu cá nhân của mình, quy định tại Điều 13 đến 22: được thông tin, truy cập, chỉnh sửa, xóa, hạn chế xử lý, di chuyển dữ liệu, phản đối, và không bị quyết định hoàn toàn tự động. Controller phải trả lời yêu cầu trong một tháng, gia hạn tối đa thêm hai tháng (Điều 12(3)); đây là một nghĩa vụ cốt lõi của GDPR compliance.
Người dùng EU có những quyền nào theo GDPR?
Cách chia 8 quyền dưới đây theo cách trình bày phổ biến của các cơ quan bảo vệ dữ liệu châu Âu. Mỗi quyền có điều kiện và ngoại lệ riêng, nên "người dùng yêu cầu" không có nghĩa là luôn phải làm theo; nhưng luôn phải trả lời, kể cả khi từ chối.
| Quyền | Điều khoản | Nội dung chính | Giới hạn quan trọng |
|---|---|---|---|
| Được thông tin | Điều 13–14 | Biết ai xử lý, mục đích, cơ sở pháp lý, bên nhận, thời hạn lưu, chuyển dữ liệu ra ngoài EU | Cung cấp lúc thu thập dữ liệu, thường qua privacy notice |
| Truy cập | Điều 15 | Xác nhận có xử lý không, nhận bản sao dữ liệu và thông tin về việc xử lý | Không được ảnh hưởng xấu đến quyền của người khác |
| Chỉnh sửa | Điều 16 | Sửa dữ liệu sai, bổ sung dữ liệu thiếu | Áp dụng với dữ liệu thực tế, không phải đánh giá chủ quan |
| Xóa ("right to be forgotten") | Điều 17 | Xóa khi không còn cần, rút consent, phản đối thành công, xử lý trái luật, có nghĩa vụ pháp lý phải xóa, hoặc dữ liệu thu từ trẻ em cho dịch vụ trực tuyến | Không áp dụng khi phải giữ để tuân thủ nghĩa vụ pháp lý, hoặc để lập, thực hiện, bảo vệ yêu cầu pháp lý |
| Hạn chế xử lý | Điều 18 | Tạm ngừng xử lý khi đang tranh chấp độ chính xác, xử lý trái luật nhưng người dùng không muốn xóa, hoặc chờ xem xét phản đối | Dữ liệu vẫn được lưu |
| Di chuyển dữ liệu | Điều 20 | Nhận dữ liệu đã cung cấp ở định dạng có cấu trúc, máy đọc được, hoặc chuyển thẳng cho bên khác | Chỉ với xử lý tự động dựa trên consent hoặc hợp đồng |
| Phản đối | Điều 21 | Phản đối xử lý dựa trên legitimate interests hoặc public task; phản đối marketing trực tiếp | Với marketing trực tiếp, phải dừng không có ngoại lệ |
| Quyết định tự động | Điều 22 | Không bị quyết định hoàn toàn tự động, kể cả profiling, có hiệu lực pháp lý hoặc ảnh hưởng đáng kể | Có ngoại lệ (hợp đồng, luật cho phép, consent rõ ràng), khi đó phải có quyền yêu cầu con người can thiệp |
Ngoài 8 quyền trên, người dùng có thể rút consent bất cứ lúc nào (Điều 7(3); xem consent management đúng GDPR), và Điều 19 yêu cầu controller báo việc chỉnh sửa, xóa hoặc hạn chế cho các bên đã nhận dữ liệu.
Doanh nghiệp phải trả lời yêu cầu trong bao lâu?
Điều 12(3) yêu cầu trả lời "không chậm trễ không cần thiết và trong mọi trường hợp trong vòng một tháng" kể từ khi nhận yêu cầu. Với yêu cầu phức tạp hoặc nhiều yêu cầu, có thể gia hạn thêm tối đa hai tháng, nhưng phải báo cho người dùng trong tháng đầu kèm lý do. Nếu từ chối, phải nêu lý do và cho biết họ có quyền khiếu nại lên supervisory authority. Việc trả lời mặc định là miễn phí; chỉ khi yêu cầu rõ ràng vô căn cứ hoặc quá mức thì mới được thu phí hợp lý hoặc từ chối (Điều 12(5)). Hướng dẫn 01/2022 của EDPB về quyền truy cập giải thích chi tiết cách tính thời hạn và phạm vi bản sao.
Quy trình xử lý yêu cầu nên gồm những bước nào?
- Tiếp nhận: nhận yêu cầu qua mọi kênh (email, form, hỗ trợ khách hàng); GDPR không bắt người dùng dùng một mẫu cố định.
- Ghi nhận và tính hạn: lưu ngày nhận, loại quyền và hạn trả lời.
- Xác minh danh tính: chỉ yêu cầu thông tin tương xứng, không thu thập thêm dữ liệu không cần thiết.
- Tìm dữ liệu: dùng ROPA và data map để biết dữ liệu nằm ở hệ thống nào, kể cả vendor và backup.
- Đánh giá ngoại lệ: ví dụ nghĩa vụ lưu hóa đơn theo luật thuế khiến không thể xóa toàn bộ.
- Thực hiện và báo bên nhận: sửa, xóa hoặc hạn chế, rồi báo các processor và bên nhận theo Điều 19.
- Trả lời và lưu hồ sơ: gửi kết quả, giữ bằng chứng về các bước đã làm.
Nếu bạn là processor, ví dụ công ty outsourcing Việt Nam vận hành hệ thống cho khách hàng EU, bạn không trả lời trực tiếp người dùng mà hỗ trợ controller theo DPA (Điều 28(3)(e)), nên hệ thống cần có khả năng xuất và xóa dữ liệu của một người khi khách hàng yêu cầu.
Những thách thức kỹ thuật nào thường gặp?
Thách thức lớn nhất là không biết dữ liệu của một người nằm ở đâu: database chính, data warehouse, log, công cụ CRM, email marketing, backup. Thứ hai là xóa trong backup: thường chấp nhận được việc để dữ liệu hết hạn theo vòng đời backup, miễn là không khôi phục và dùng lại, và điều này được ghi rõ trong chính sách. Thứ ba là định dạng di chuyển dữ liệu: cần export có cấu trúc như JSON hoặc CSV. Thứ tư là ghi nhận để chứng minh: mỗi yêu cầu cần dấu vết ai xử lý, khi nào và kết quả.
pTrackly hỗ trợ phần nào?
pTrackly không có cổng tiếp nhận yêu cầu của người dùng và không tự tìm hay xóa dữ liệu trong hệ thống của bạn. Phần hỗ trợ là quản trị: ROPA trong mục Privacy giúp xác định hoạt động xử lý và hệ thống liên quan, mục Vendors theo dõi DPA với các processor cần được báo khi có yêu cầu, và bạn có thể tạo evidence task định kỳ để lưu nhật ký yêu cầu làm bằng chứng. Việc tiếp nhận, xác minh và thực hiện yêu cầu vẫn do team của bạn làm trong hệ thống của mình.
Câu hỏi thường gặp
GDPR có áp dụng cho doanh nghiệp Việt Nam không?
Có, khi doanh nghiệp chào bán hàng hóa, dịch vụ cho người đang ở EU hoặc theo dõi hành vi của họ tại EU, theo Điều 3(2), dù không có văn phòng tại EU. Phạm vi chi tiết có trong GDPR áp dụng khi nào.
Không trả lời đúng hạn một tháng thì sao?
Người dùng có thể khiếu nại lên supervisory authority, và vi phạm các quyền tại Điều 12–22 thuộc mức phạt cao hơn theo Điều 83(5), tối đa 20 triệu euro hoặc 4% doanh thu toàn cầu năm trước. Mức phạt thực tế do cơ quan quyết định theo từng vụ.
Right to erasure có nghĩa là phải xóa khỏi mọi hệ thống không?
Không nhất thiết. Điều 17(3) cho phép giữ lại dữ liệu khi cần để tuân thủ nghĩa vụ pháp lý hoặc để lập, thực hiện hay bảo vệ yêu cầu pháp lý; khi từ chối xóa phần nào, phải giải thích lý do cho người dùng.
Có được yêu cầu người dùng gửi bản sao giấy tờ tùy thân để xác minh không?
Chỉ khi thật sự cần và tương xứng. EDPB khuyến nghị dùng thông tin bạn đã có, như đăng nhập vào tài khoản, thay vì thu thêm giấy tờ tùy thân, vì việc này tạo thêm dữ liệu nhạy cảm phải bảo vệ.
pTrackly giúp bạn triển khai GDPR nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí